Dataskyddsbeskrivning 1 (11) 1. Registrets namn Patientregister 2. Personuppgiftsansv arig 3. Ansvarig person för registret Esbo stads hälsovård PB 202 (Teknikvägen 15, 7 vån.) 02070 Esbo stad Hälsovårdsdirektören PB 202, 02070 Esbo stad 4. Kontaktperson för registret Kontaktpersoner: Hälsostationer: hälsovårdsdirektörens sekreterare Munhälsovård: byråsekreteraren inom ansvarsområdet för munhälsovårdens ledande övertandläkare Öppen rehabilitering: byråsekreteraren inom ansvarsområdet för öppen rehabilitering Mental- och missbruksvårdens hälso- och sjukvård: byråsekreteraren inom ansvarsområdet för chefen för mental- och missbruksvård Handlingar lämnas ut av: Chefen som svarar för serviceområdet Esbo stads social- och hälsovårdssektor PB 202, 02070 Esbo stad Besöksadress: Brogatan 11, Esbo centrum Telefon: 09 816 21 (växel) Obs. I denna beskrivning hittar du anvisningar om begäranden som gäller registret enligt följande: begäran om kontroll av registeruppgifter från s. 7, begäran om rättelse s. 8 och övriga begäranden s. 10. 5. Dataskyddsombud som organisationen utsett Stadens dataskyddsombud PB 12, 02070 Esbo stad e-post: tietosuoja@espoo.fi
Dataskyddsbeskrivning 2 (11) 6. Ändamålen med behandlingen av personuppgifter och den rättsliga grunden för behandlingen Ändamålet med behandlingen av personuppgifter i registret är att ordna vården för patienterna inom hälsovården. Den rättsliga grunden för behandlingen: patientförhållandet och lagstiftningen som styr verksamheten Den primära grunden för behandling av personuppgifterna i registret är patientförhållandet mellan patienten och verksamhetsenheten, ett frivilligt, specificerat, medvetet och entydigt samtycke av patienten, ett uppdrag som patienten gett eller en annan saklig anknytning. Personuppgifter får behandlas för följande ändamål: ordnande, planering, genomförande och uppföljning av undersökning och vård av patienter samt rådgivning och kvalitetskontroll fakturering och statistikföring av tjänster planering, statistikföring, uppföljning och utvärdering av verksamheten samt eventuell forskningsverksamhet baserad på ett särskilt tillstånd övervakning av personalens verksamhet med hjälp av systemets logguppgifter. Sammanföring av uppgifter med andra personregister: Uppgifter sammanförs med den riksomfattande webbtjänsten Kanta (erecept och earkivet) som upprätthålls av Folkpensionsanstalten enligt lagen om elektronisk behandling av klientuppgifter inom social- och hälsovården och lagen om elektroniska recept. Uppgifter kan sammanföras med uppgifter i andra personregister vid vetenskaplig forskning som bedrivs med tillstånd av patienten eller ministeriet eller Institutet för hälsa och välfärd eller på grundval av ett forskningstillstånd beviljat av Esbo stad eller ett sådant planerings- och utredningsarbete som en myndighet utför och som har genomförts med patientens tillstånd eller med stöd av en lag (28 i lagen om offentlighet i myndigheternas verksamhet 621/1999). Artikel 6.1 c och e i EU:s allmänna dataskyddsförordning Dataskyddslagen (1050/2018) Hälso- och sjukvårdslagen (1326/2010) 3 kap. i folkhälsolagen (66/1972) Lagen om patientens ställning och rättigheter (785/1992) Lagen om elektronisk behandling av klientuppgifter inom social- och hälsovården (159/2007) Lagen om elektroniska recept (61/2007) 2 kap. i förordningen om offentlighet och god informationshantering i myndigheternas verksamhet (1030/1999) Registrets datainnehåll:
Dataskyddsbeskrivning 3 (11) 7. Registrets datainnehåll basuppgifter om patienten: person- och kontaktuppgifter och uppgifter om anhöriga uppgifter om ordnande av vården: bland annat tidsboknings- och köuppgifter, uppgifter om bokning av vård, uppgifter om besök och vårdperioder i ämbetsverkets egna verksamhetsenheter samt vårdenheter som staden har ett avtal med samt namn- och tjänsteuppgifter om dem som gjort anteckningarna Uppgifter om hälsa och sjukdom: uppgifter om medicinska risker, besöks- och vårdperiodsuppgifter som gäller hälsorådgivning, diagnoser, planering av vården, vårdens förlopp, uppföljning och utvärdering av vården, begäran om laboratorie- och röntgenundersökningar och svaren på dessa, uppgifter om funktionsförmåga, utlåtanden och utfärdade intyg, konsultationsbegäran och -svar (även från enheter utanför ämbetsverket, t.ex. svar från sjukvårdsdistriktet HUS), remisser och vårdrespons samt slututlåtanden om vården administrativa uppgifter och uppgifter om patientfakturering Särskilda kategorier av personuppgifter: Som särskilda kategorier av personuppgifter behandlas uppgifter om hälsa. Behandlingen är lovlig med stöd av artikel 9.2 h i EU:s allmänna dataskyddsförordning när den är nödvändig i hälso- och sjukvården eller social omsorg. Uppgifternas offentlighet och konfidentialitet: Uppgifterna är sekretessbelagda enligt 24 i lagen om offentlighet i myndigheternas verksamhet (621/1999). Annat att beakta: I patientregistret ingår också uppgifter som uppstått inom social- och hälsovårdssektorns köpta tjänster. De register som tjänsteproducenterna upprätthåller och som gäller Esbo utgör delregister i patientregistret. I registret ingår också uppgifter som behandlas vid underhåll av servrarna för datasystemen och vid expertstöd för användning av programmen samt tillhörande uppdrag. Patientregistret är en del av den kommunala hälso- och sjukvårdens gemensamma register för patientuppgifter för området för sjukvårdsdistriktet (HUS) enligt 9 i hälso- och sjukvårdslagen. Esbos social- och krisjour har inte ett eget personregister, utan vid socialoch krisjouren behandlas uppgifter i social- och hälsovårdssektorns övriga personregister i den omfattning som social- och krisjourens uppgifter förutsätter. Registret består av anteckningar som gjorts i datasystemet TerveysEffica/Lifecare och pappershandlingar om patienten. I registret ingår också uppgifter som patienten eller dennes lagliga företrädare har gett i Esbo stads program Medborgarnas hälsovårdstjänst.
Dataskyddsbeskrivning 4 (11) Uppgifterna kan vara lagrade både elektroniskt och manuellt samt som ljud- och/eller bildinspelningar. En del av tjänsterna kan också fås elektroniskt. 8. Uppgiftskällor för personuppgifter 9. Mottagare eller mottagargrupper av personuppgifter Huvudsakliga uppgiftskällor: nödvändig information om hälsotillståndet som getts av patienten, en anhörig eller en intressebevakare Befolkningsregistercentralens uppgifter om befolkningen i området uppgifter som gäller vården av patienten och baserar sig på personalens observationer och undersökningar patient- och/eller klientuppgifter från andra verksamhetsenheter som ingår i sjukvårdsdistriktet HUS gemensamma register uppgifter om bilddiagnostiska och laboratorieundersökningar fås från tjänsteproducenterna uppgifter om tjänster som skaffats med servicesedel fås från tjänsteproducenterna Uppgifter som erhållits med patientens samtycke eller med stöd av en lag från social-, hälsovårds- och skolväsendets enheter eller personal Grunder för utlämning av personuppgifter: med patientens uttryckliga samtycke med stöd av en uttrycklig bestämmelse i lagen för vetenskaplig forskning med tillstånd av patienten eller ministeriet eller Institutet för hälsa och välfärd eller på grundval av ett forskningstillstånd som beviljats av Esbo stad (28 i lagen om offentlighet i myndigheternas verksamhet 621/1999) för ett sådant planerings- och utredningsarbete som en myndighet utför, med den patientens tillstånd eller med stöd av en lag. Mottagare av personuppgifter: Uppgifter kan om lagen kräver överlåtas till tillsynsmyndigheten. Personuppgifter lämnas ut till tjänsteproducenterna med patientens samtycke, med stöd av 26 i lagen om offentlighet i myndigheternas verksamhet eller någon annan särskild bestämmelse. Statistiska uppgifter om tjänsten kan lämnas ut till myndigheter för sådana ändamål som avses i lagen. Uppgifterna i registret används som hjälp vid produktion av statistik- och rapportuppgifter samt vid planerings- och utredningsarbete med stöd av lag. Uppgifter lämnas ut enligt forskningstillstånd som social- och hälsovårdssektorns utvecklingsenhet beviljat för forskningsverksamhet med stöd av lag.
Dataskyddsbeskrivning 5 (11) I övrigt lämnas personuppgifter ut endast på en specificerad begäran om uppgifter till myndigheter som enligt lagstiftningen har rätt att få uppgifterna med iakttagande av gällande dataskyddsanvisningar. Uppgifter överlåts i regel som kopior och överlåtelsen antecknas i registret. Lagen om offentlighet i myndigheternas verksamhet (621/1999) 10. Överföring av uppgifter utanför EU eller EES I regel överförs registeruppgifter inte utanför Europeiska unionen eller Europeiska ekonomiska samarbetsområdet. Registeruppgifter överförs utanför EU eller EES bland annat vid lagstadgat informationsutbyte mellan myndigheter. Registeruppgifter kan överföras utanför EU eller EES endast om det mottagande landet enligt kommissionens beslut har ansetts säkerställa en adekvat skyddsnivå eller om överföringen omfattas av lämpliga skyddsåtgärder som avses i den allmänna dataskyddsförordningen. EU:s allmänna dataskyddsförordning 11. Lagringstider för uppgifter Lagringstider i huvuddrag: journalhandlingar: i regel 120 år efter patientens födelse eller 12 år efter patientens död (journalhandlingar som uppkommit före 1.5.1999 eller som gäller patienter som avlidit före 1.5.1999: i regel 100 år efter födelsen eller 20 år efter döden) journalhandlingar för personer födda den 18 och 28 i månaden: varaktigt material som överförts till och lagrats i hälso- och sjukvårdens nationella patientdatalager: varaktigt med undantag för verifikationer material som gäller klientavgifter: 10 år logguppgifter 12 år efter att de bildats Grunder för lagringstiderna: Social- och hälsovårdsministeriets förordning om journalhandlingar (298/2009) Arkistolaitoksen päätös 16.2.2009 (AL/14372/07.01.01.03.01/2008): Potilasasiakirjojen pysyvä säilytys 2009 Valtionarkiston päätös kunnallisten asiakirjojen hävittämisestä osa 2. Terveydenhuollon asiakirjat. 14.4.1989 ISBN 951-861-419-9. Kuntaliitto: Kunnallisten asiakirjojen säilytysajat. Määräykset ja suositukset. Taloushallinto 2. 12. System för registerföring och Uppgifterna i registret är sekretessbelagda. De anställda som behandlar eller läser uppgifterna har tystnadsplikt. Uppgifterna får behandlas av personer som i en verksamhetsenhet inom hälso- och sjukvården deltar i vården av patienten och i uppgifter som har samband med den i den
Dataskyddsbeskrivning 6 (11) principer för skydd av registret utsträckning deras arbetsuppgifter och ansvar förutsätter det. En tjänsteinnehavare som har chefsställning ska övervaka patientsäkerheten. Då har han eller hon rätt att behandla uppgifterna i registret i den utsträckning uppgiften förutsätter det. Tystnadsplikten fortsätter även efter att anställningsförhållandet upphört. Uppgifterna i patientdatasystemet överförs till Kanta-arkivet i den omfattning som bestäms i lagen. Enligt förordningen om journalhandlingar ska uppgifterna skickas till arkivet inom fem dygn efter att servicehändelsen avslutats. Viljeförklaringar, förbud och samtycken överförs direkt till Kanta. A. Elektroniskt material Uppgifterna som lagrats i registrets datasystem skyddas så att endast sådana anställda som har rätt till uppgifterna kan ta del av dem. Användningen av uppgifterna bygger på ett vårdförhållande eller ett annat sakligt samband. Användningen av datasystemen övervakas och ingen kommer åt dem utan användar-id och lösenord. Datasystemet kräver att lösenordet regelbundet byts. Datasystemet finns på en server som ägs av Tieto Oyj och det kan användas på jobbdatorer. Servern, datorerna och skrivarna förvaras i låsta lokaler. För att få användarrättigheter krävs en skriftlig förbindelse till tystnadsplikt och datasäkerhet. Cheferna beslutar om beviljande och indragning av användarrättigheter. När anställningsförhållandet upphör passiveras användarrättigheterna. Behandlingen och läsningen av registeruppgifter följs upp och övervakas med hjälp av användarloggar enligt en plan för uppföljning och övervakning av dataskydd. De apparater och program som hälso- och sjukvården i Esbo använder är skyddade och säkrade enligt stadens datasäkerhetsprinciper. B. Manuellt material I verksamhetsenheterna förvaras handlingarna i övervakade lokaler och/eller i låsbara skåp. Arkiverade handlingar förflyttas via sektorns slutarkiv till stadsarkivet. 6 kap. i lagen om offentlighet i myndigheternas verksamhet (621/1999) EU:s allmänna dataskyddsförordning Arkivlagen (831/1994) Lagen om elektronisk behandling av klientuppgifter inom social- och hälsovården (159/2007)
Dataskyddsbeskrivning 7 (11) 13. Rätt att kontrollera uppgifter Den registrerade har rätt att kontrollera vilka uppgifter om honom eller henne som har lagrats i registret eller få en bekräftelse på att registret inte innehåller uppgifter om honom eller henne. Patienten kan i regel söka fram sina uppgifter på Mina Kanta-sidor. På mottagningen kan den anställda på patientens begäran skriva ut anteckningarna endast för besöket i fråga. Rätten till kontroll enligt EU:s allmänna dataskyddsförordning och utlämnandet av anteckningarna för ett besök är olika saker. Innehållet i rätten att kontrollera uppgifter: den registrerade har rätt att granska registeruppgifterna som gäller honom eller henne den registrerades vårdnadshavare har i regel rätt att granska uppgifterna om sitt barn. Man tar hänsyn till om den minderåriga har utövat sin förbudsrätt när det gäller utlämnande av uppgifter till sin vårdnadshavare. rätten att kontrollera uppgifter kan förvägras endast i undantagsfall en utomstående har inte rätt att granska uppgifter, även om uppgifter om honom eller henne kan ha registrerats i uppgifterna om den registrerade Hur rätten att kontrollera uppgifter genomförs: begäran om kontroll ska lämnas personligen vid ett besök eller per post med en egenhändigt undertecknad eller på motsvarande sätt verifierad handling eller vid ett besök i registraturen eller på en servicepunkt för begäran finns en särskild blankett som fås på social- och hälsovårdssektorns verksamhetsenheter och finns på Esbo stads webbplats https://www.esbo.fi/sv- FI/Social_och_halsovard/Klientens_och_patientens_rattigheter/Kli enters_och_patienters_ratt_till_information begäran om uppgifter riktas till Esbo stads social- och hälsovårdssektor, Begäran om uppgifter, PB 202, 02070 Esbo stad den registrerades identitet kontrolleras innan uppgifterna överlämnas den registrerade har rätt att bekanta sig med och se på patientuppgifter som gäller honom eller henne och på begäran få skriftliga kopior av dem rätten att kontrollera uppgifter genomförs i regel i den enhet där uppgifterna registrerats för eventuella ytterligare kopior som den registrerade begär får den personuppgiftsansvarige ta ut en rimlig avgift på grundval av de administrativa kostnaderna. Den personuppgiftsansvarige ska lämna uppgifterna utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran. Denna period får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet
Dataskyddsbeskrivning 8 (11) inkomna begäranden. Den personuppgiftsansvarige ska underrätta den registrerade om en sådan förlängning inom en månad från det att begäran mottagits samt ange orsakerna till förseningen. Om den personuppgiftsansvarige inte vidtar åtgärder på den registrerades begäran, ska den personuppgiftsansvarige utan dröjsmål och senast en månad efter att ha mottagit begäran informera den registrerade om orsaken till att åtgärder inte vidtagits och om möjligheten att lämna in ett klagomål till en tillsynsmyndighet (i Finland Dataombudsmannens byrå) och begära rättslig prövning. På basis av en begäran att få tillgång till egna uppgifter ska information som tillhandahållits enligt artiklarna 13 och 14 i EU:s allmänna dataskyddsförordning, all kommunikation och samtliga åtgärder som vidtas enligt artiklarna 15 22 och 34 tillhandahållas kostnadsfritt. Om begäranden från en registrerad är uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art, får den personuppgiftsansvarige antingen ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts, eller vägra att tillmötesgå begäran. Det åligger den personuppgiftsansvarige att visa att begäran är uppenbart ogrundad eller orimlig. EU:s allmänna dataskyddsförordning 14. Rätt till rättelse Innehållet i rättelsen: den personuppgiftsansvarige ska utan obefogat dröjsmål på eget initiativ eller på yrkande av den registrerade rätta, utplåna eller komplettera en personuppgift som ingår i ett register och som med hänsyn till ändamålet med behandlingen är oriktig, onödig, bristfällig eller föråldrad ändringarna görs så att uppgifterna om rättelsen, den som rättar och datumet för rättelsen framgår av registret och den ursprungliga anteckningen kan läsas efteråt Om den personuppgiftsansvarige inte godkänner den registrerades krav på rättelse av en uppgift, ska den personuppgiftsansvarige informera den registrerade om orsaken till att kravet inte har godkänts och om möjligheten att lämna in ett klagomål till en tillsynsmyndighet (i Finland Dataombudsmannens byrå) och begära rättslig prövning. Genomförande av en rättelse av en uppgift: den registrerade framför en begäran
Dataskyddsbeskrivning 9 (11) begäran ska lämnas personligen vid ett besök eller per post med en egenhändigt undertecknad eller på motsvarande sätt verifierad handling eller vid ett besök i registraturen eller på en servicepunkt i begäran ska den registrerade noggrant specificera och motivera vilka uppgifter han eller hon kräver att rättas, vilka uppgifter den registrerade anser vara rätta samt hur rättelsen ska genomföras. för rättelsen finns en särskild blankett som fås på social- och hälsovårdssektorns verksamhetsenheter och finns på Esbo stads webbplats https://www.esbo.fi/sv- FI/Social_och_halsovard/Klientens_och_patientens_rattigheter/Kli enters_och_patienters_ratt_till_information begäran om rättelse riktas till: Esbo stads social- och hälsovårdssektor, Begäran om uppgifter, PB 202, 02070 Esbo stad den registrerades identitet kontrolleras Patientuppgifter kan rättas också genom att komplettera dem enligt patientens synpunkter. EU:s allmänna dataskyddsförordning 15. Rätt att inge klagomål Utan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel, har en registrerad som anser att behandlingen av personuppgifter som avser henne eller honom strider mot denna förordning rätt att lämna in ett klagomål till en tillsynsmyndighet, särskilt i den medlemsstat där han eller hon har sin hemvist eller sin arbetsplats eller där det påstådda intrånget begicks. Rätten grundar sig på EU:s allmänna dataskyddsförordning (2016/679 artikel 77). I Finland är tillsynsmyndigheten Dataombudsmannens byrå. 16. Förbudsrätt Uppgifterna i patientdatasystemet är sekretessbelagda. De överlåts endast med patientens uttryckliga samtycke eller på lagstadgade grunder. Patientens samtycke krävs inte för att patientuppgifter ska få användas av verksamhetsenheter inom hälso- och sjukvården som har anslutit sig till det gemensamma registret för patientuppgifter (i Esbo HUS-området). Patienten har emellertid rätt att förbjuda att uppgifter som har registrerats av en annan verksamhetsenhet inom det gemensamma registret används. Patienten får förbjuda användningen av uppgifter och återta ett sådant förbud när som helst. Om uppgifter från en annan verksamhetsenhet inom hälso- och sjukvården behövs för att kunna vårda patienten, ska patienten själv se till att uppgifterna överlåts. Patienten kan också återta ett förbud. Hälso- och sjukvårdslagen (1326/2010) 9
Dataskyddsbeskrivning 10 (11 ) 17. Övriga eventuella rättigheter Begäran riktas till: Esbo stads social- och hälsovårdssektor, Begäran om uppgifter, PB 202, 02070 Esbo stad Rätt till radering (artikel 17 i dataskyddsförordningen) Den registrerade har rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade förutsatt att någon av förutsättningarna i leden i artikel 17.1 uppfylls. Den registrerade har inte rätt att få uppgifter raderade bland annat om behandlingen av uppgifter förutsätts för att uppfylla en rättslig förpliktelse eller för att utföra en uppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige. Rätt att begära att behandlingen begränsas (artikel 18 i dataskyddsförordningen) Den registrerade har rätt att av den personuppgiftsansvarige kräva att behandlingen av personuppgifter begränsas, om någon av förutsättningarna i artikel 18.1 a d uppfylls. Rätt att göra invändningar (artikel 21 i dataskyddsförordningen) Den registrerade har, av skäl som hänför sig till hans eller hennes specifika situation, rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på utförandet av en uppgift som gäller ett allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen. Om personuppgifterna behandlas för direkt marknadsföring har den registrerade rätt att när som helst invända mot behandling av personuppgifter som avser honom eller henne för sådan marknadsföring, vilket inkluderar profilering i den utsträckning som denna har ett samband med sådan direkt marknadsföring. Om den registrerade invänder mot behandling för direkt marknadsföring ska personuppgifterna inte längre behandlas för sådana ändamål. Rätt till dataportabilitet (rätt att överföra uppgifter från ett system till ett annat) (artikel 20 i dataskyddsförordningen) Den registrerade har rätt till överföringen endast om behandlingen grundar sig på samtycke eller ett avtal och om behandlingen sker automatiserat. Rätten att överföra uppgifter från ett system till ett annat gäller inte i fråga om en behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige. Om behandlingen grundar sig på samtycke, har den registrerade rätt att när som helst återkalla sitt samtycke.
Dataskyddsbeskrivning 11 (11 )